Вы управляете файл клиентавы отправляете "Мы, граждане"Если у вас есть сотрудники и вы используете камеры на своей территории, то вы обрабатываете персональные данные, и GDPR в полной мере распространяется на вас. Однако, согласно данным барометра France Num 2025, Лишь 41% микропредприятий/МСП ведут реестр производственной деятельности.Это обязательство распространяется на все предприятия, независимо от их размера. В этом руководстве без использования юридического жаргона объясняется, что именно требует от вас GDPR в конкретных терминах и как шаг за шагом его соблюдать.
GDPR: определение и основные принципы
GDPR, или Общий регламент по защите данных, — это европейский регламент № 2016/679 от 27 апреля 2016 года. Он вступил в силу 25 мая 2018 года во всех государствах-членах Европейского союза, заменив Директиву 95/46/EC от 1995 года. В отличие от директивы, регламент применяется напрямую, без национальной имплементации. Во Франции он дополнен Законом о защите данных от 6 января 1978 года (с поправками 2018 года) и контролируется CNIL (Национальной комиссией по информационным технологиям и гражданским свободам).
Главная цель — укрепление прав физических лиц на защиту своих персональных данных, а также гармонизация правил в рамках ЕС для создания единой правовой базы. Кроме того, вводится принцип подотчетности, означающий обязанность предоставлять информацию и демонстрировать соблюдение требований.
7 основных принципов GDPR (статья 5)
Статья 5 регламента устанавливает принципы, которые каждая организация должна соблюдать при обработке персональных данных:
Эти принципы применимы к вам, руководителю очень малого бизнеса/малого и среднего предприятия, как только вы получаете имя клиента, адрес электронной почты потенциального клиента или банковские реквизиты поставщика.
Кого это затрагивает и какие данные защищены?
Все компании, независимо от размера
Определяющим фактором является не размер вашей организации, а тот факт, что вы обрабатываете персональные данные. Микропредприятие с одним сотрудником, управляющее базой данных клиентов, подпадает под действие GDPR так же, как и крупная корпорация. Это также касается ассоциаций, самозанятых (врачей, юристов, бухгалтеров) и субподрядчиков, обрабатывающих данные от имени контролера данных.
GDPR также распространяется на компании, зарегистрированные за пределами ЕС, если они нацелены на европейских резидентов. Штраф в размере 150 миллионов евро, наложенный на SHEIN Комиссией по информатике и свободам в 2025 году, прекрасно иллюстрирует этот принцип: китайский бренд использовал средства отслеживания рекламы до любого взаимодействия с пользователем, и его местоположение за пределами ЕС не обеспечивало ему защиту.
Что такое личные данные?
Персональные данные — это любая информация, позволяющая прямо или косвенно идентифицировать физическое лицо: имя, фамилия, адрес электронной почты, номер телефона, IP-адрес, данные о местоположении, номер клиента, фотография и т. д. Определение достаточно широкое: номерной знак автомобиля, онлайн-идентификатор или даже сочетание, казалось бы, безобидной информации, взятой по отдельности, могут представлять собой персональные данные.
Конкретные примеры для очень малого бизнеса/малого и среднего предприятия (МСП):
Конфиденциальные данные: особая категория.
Статья 9 GDPR в принципе запрещает обработку определенных категорий данных, известных как «конфиденциальные», которые раскрывают расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, членство в профсоюзах, генетические данные, биометрические данные, данные о состоянии здоровья или данные, касающиеся сексуальной жизни или сексуальной ориентации.
Для очень малого бизнеса или МСП эти конфиденциальные данные могут появляться в неожиданных контекстах: данные о больничных листах сотрудников (медицинские данные), информация, собранная во время собеседования, или даже изображения с системы распознавания лиц на входе в помещение. Их обработка регулируется строгими правилами и, как правило, требует явного согласия соответствующего лица.
6 правовых оснований для обработки
Вся обработка персональных данных должна основываться на одном из шести правовых оснований, предусмотренных в статье 6 GDPR. Этот список является исчерпывающим: если ни одно из этих оснований не применяется, обработка запрещена. Выбор правового основания должен быть сделан до начала обработки и задокументирован в ваших записях.
1. Согласие (ст. 6.1.а)
Согласие было дано свободно, конкретно, осознанно и недвусмысленно. Отозвать согласие можно так же легко, как и дать. Это является основой для рассылок новостей, необязательных файлов cookie и маркетинга по электронной почте для конечных потребителей (B2C).
Конкретный пример: В форме подписки на новостную рассылку обязательно должен быть неотмеченный флажок и четкое указание на использование данных.
2. Исполнение договора (ст. 6.1.б)
Обработка данных необходима для исполнения договора, стороной которого является данное лицо. Она является естественной основой для управления взаимоотношениями с клиентами, выставления счетов, доставки или начисления заработной платы сотрудникам.
Конкретный пример: Вы собираете адрес доставки вашего клиента, чтобы отправить ему заказ. Дополнительное согласие не требуется.
3. Юридическое обязательство (ст. 6.1.с)
Данная обработка данных предписана законом или нормативным актом. Она служит основанием для хранения расчетных листков, счетов-фактур (10 лет для целей бухгалтерского учета), а также налоговых и социальных деклараций.
Конкретный пример: В соответствии с Трудовым кодексом вы обязаны хранить расчетные листы ваших сотрудников как минимум 5 лет.
4. Защита жизненно важных интересов (ст. 6.1.d)
Исключительный случай применения, ограниченный неотложными медицинскими ситуациями, когда человек не в состоянии дать согласие.
5. Миссия в общественных интересах (ст. 6.1.e)
Предназначено для государственных органов и организаций, ответственных за выполнение задач, связанных с оказанием государственных услуг. Не распространяется на традиционные частные компании.
6. Законный интерес (ст. 6.1.f)
Контролер данных преследует законный интерес при условии, что основные права и свободы личности не преобладают над ним. Это основание является гибким, но требует документально подтвержденного «тройного теста»: является ли интерес законным? Необходима ли обработка данных? Преобладают ли права личности над этим интересом?
Конкретные примеры, подтвержденные CNIL: Поиск потенциальных клиентов в сегменте B2B, предотвращение мошенничества, ИТ-безопасность, соразмерное видеонаблюдение за помещениями.
Внимание: CNIL (Национальная комиссия по информатике и свободам) наложила санкции на ряд компаний за неправомерное использование законных интересов, в частности, для оправдания постоянного наблюдения за сотрудниками или проведения поисковых кампаний на основе файлов, приобретенных у брокеров данных.
Права личности
GDPR предоставляет физическим лицам восемь основных прав в отношении их персональных данных (Глава III регламента). Как оператор персональных данных, вы обязаны уважать эти права и ответить в течение одного месяца с момента получения запроса.
Право доступа (ст. 15) Любое лицо может запросить подтверждение обработки ваших данных и получить их копию. Ответ должен быть предоставлен в течение одного месяца.
Право на исправление (ст. 16) Клиент может запросить исправление неточных или неполных данных. Обновляйте свою клиентскую базу данных, как только клиент уведомит вас об изменении адреса.
Право на стирание информации («право быть забытым», ст. 17) Физическое лицо может запросить удаление своих данных при определенных условиях (отзыв согласия, ненужные данные, неправомерная обработка). Это право не является абсолютным: оно не применяется, если существует юридическое обязательство хранить данные.
Право на переносимость данных (ст. 20) Пользователь может получить свои данные в структурированном и машиночитаемом формате для передачи другому поставщику услуг. Это право распространяется только на обработку данных на основании согласия или договора.
Право на ограничение срока давности (ст. 18) : лицо может запросить временную приостановку обработки своих данных, например, на время проверки их достоверности.
Право на возражение (ст. 21) Физическое лицо имеет право возражать против обработки данных, в частности, в маркетинговых целях. Это право является абсолютным в отношении маркетинга: вы должны немедленно прекратить обработку данных.
Законодательство, касающееся автоматизированных решений (ст. 22) : ни один человек не может быть подвергнут решению, основанному исключительно на автоматизированной обработке (оценке, профилировании), имеющему существенные юридические последствия, без вмешательства человека.
Право на информацию (ст. 13-14) Каждый человек должен быть проинформирован о сборе и использовании его данных в момент их сбора.
Как можно обрабатывать эти запросы на практике? Выделите отдельный адрес электронной почты (например, rgpd@yourcompany.fr), записывайте каждый запрос с указанием даты получения и документируйте свой ответ. В 2026 году CNIL (Французское управление по защите данных) наложило санкции на очень малые предприятия и медицинские учреждения не за первоначальное нарушение, а за то, что они так и не ответили на запросы заинтересованных лиц. Молчание является отдельным нарушением.
Ваши конкретные обязанности: обработка данных в реестре, информация, безопасность, субподрядчики.
Реестр операций по обработке (ст. 30)
Это ваш основной документ, подтверждающий соответствие требованиям. Все компании, независимо от размера, обязаны вести этот реестр. Распространенное заблуждение о том, что компании с численностью сотрудников менее 250 человек освобождены от этого требования, неверно: освобождение распространяется только на несколько очень специфических случаев эпизодической и низкорисковой обработки, а не на общее обязательство.
Для очень малого бизнеса/малых и средних предприятий (МСП) этот реестр может представлять собой простую таблицу, содержащую список каждого вида производственной деятельности:
CNIL предоставляет Упрощенный шаблон реестра, подходящий для небольших организаций..
Обязанность предоставлять информацию
Вы обязаны уведомить соответствующих лиц в момент сбора их данных. Эта информация может быть включена в:
Информация должна быть ясной, доступной и написана на французском языке. CNIL (Французское управление по защите данных) наложило санкции на компанию за предоставление политики конфиденциальности только на английском языке.
Обязанность обеспечения безопасности (ст. 32)
Необходимо внедрить соответствующие технические и организационные меры для защиты данных. Для очень малого бизнеса/малых и средних предприятий это конкретно означает:
Регулирование деятельности субподрядчиков (ст. 28)
Любой поставщик услуг, обрабатывающий данные от вашего имени (хостинг-провайдер, программное обеспечение для выставления счетов, бухгалтер, маркетинговое агентство), является обработчиком данных в соответствии с GDPR. Вы должны заключить с ним письменный договор, содержащий конкретные положения о защите данных: цели обработки, меры безопасности, обязательства по соблюдению конфиденциальности и то, что происходит с данными по окончании действия договора.
Конкретный пример: Если вы используете программное обеспечение CRM В режиме SaaS для управления клиентами убедитесь, что издатель предлагает соглашение об обработке данных (DPA), соответствующее требованиям GDPR.
Сотрудник по защите данных (DPO), оценка воздействия (IAPD): в каких случаях?
Сотрудник по защите данных (DPO)
Назначение специалиста по защите данных является обязательным в трех конкретных случаях (ст. 37 GDPR):
Таким образом, для микропредприятий или малых и средних предприятий наличие сотрудника по защите данных не является обязательным, если ни одно из этих условий не выполняется. Однако настоятельно рекомендуется назначить внутреннего «ответственного за соблюдение GDPR», то есть лицо, ответственное за контроль за соблюдением требований, даже без официального названия должности. Этим лицом можете быть вы сами, ваш сотрудник или внешний поставщик услуг.
Оценка воздействия на защиту данных (DPIA)
Перед любой обработкой данных, которая может представлять высокий риск для прав и свобод физических лиц, обязательно проведение оценки воздействия на защиту данных (DPIA) (статья 35 GDPR). CNIL (Французское управление по защите данных) опубликовало список из девяти категорий обработки данных, для которых систематически требуется проведение DPIA.
Конкретные случаи, когда это может затронуть очень малый бизнес/малые и средние предприятия (МСП):
Если вы не подпадаете под эти категории, проведение оценки воздействия на защиту данных (DPIA) не является обязательным. Однако соразмерная оценка рисков остается хорошей практикой.
Соответствие требованиям в 7 шагов для очень малого бизнеса/малых и средних предприятий (МСП)
Вот конкретный план действий без профессионального жаргона, который поможет вам привести свою деятельность в соответствие с требованиями законодательства.
Шаг 1: Назначьте представителя по вопросам GDPR.
Назначьте ответственного за контроль за соблюдением требований (себя или сотрудника). Этот человек будет контактным лицом для запросов на осуществление прав и в случае потенциальных проверок со стороны CNIL (Французского управления по защите данных).
Шаг 2: Составьте карту ваших процедур и создайте реестр.
Перечислите все виды деятельности, для которых вы собираете данные: клиентская база, управление персоналом, информационная рассылка, контактная форма, видеонаблюдение, бухгалтерский учет. Для каждого вида деятельности предоставьте информацию, требуемую статьей 30. Используйте упрощенный шаблон CNIL, доступный по адресу [адрес веб-сайта]. cnil.fr.
Шаг 3: Проверьте и задокументируйте свои правовые основания.
Для каждого вида обработки данных, указанного в вашем реестре, укажите применимое правовое основание. Задокументируйте этот выбор. Если вы не можете определить действительное правовое основание, вы должны прекратить данный вид обработки данных.
Шаг 4: Выполните свои обязательства по предоставлению информации.
Разработайте или обновите свою политику конфиденциальности, информационные уведомления в ваших формах и положения GDPR в ваших трудовых договорах. Установите на своем веб-сайте баннер, соответствующий требованиям законодательства, касающимся использования файлов cookie, если вы используете технологии отслеживания.
Шаг 5: Защитите свои данные
Проведите быструю проверку ваших методов обеспечения безопасности: пароли, доступ к файлам, резервное копирование, обновления. Устраните все выявленные уязвимости. Обучите сотрудников передовым методам обеспечения безопасности.
Шаг 6: Контролируйте своих субподрядчиков.
Перечислите всех ваших поставщиков услуг, которые обрабатывают данные от вашего имени. Убедитесь, что вы заключили с каждым из них соглашение об обработке данных, соответствующее статье 28 GDPR.
Шаг 7: Разработать процедуру управления правами и нарушениями.
Создайте отдельный адрес электронной почты для запросов в соответствии с GDPR. Ведите учет полученных запросов и предоставленных ответов. Разработайте процедуру уведомления о нарушении защиты данных: у вас есть 72 часа, чтобы уведомить CNIL (Французское управление по защите данных) и, если риск высок, проинформировать заинтересованных лиц.
Утечки данных и штрафы: чем вы действительно рискуете.
Уведомление о нарушениях безопасности данных (ст. 33-34)
В случае утечки данных (взлом, потеря компьютера, отправка электронного письма не тому адресату, несанкционированный доступ к вашей клиентской базе) вы обязаны уведомить CNIL (Французское управление по защите данных) в течение 72 часов с момента обнаружения инцидента. Если утечка данных представляет высокий риск для заинтересованных лиц, вы также должны уведомить их напрямую.
Уведомление размещается на портале CNIL (Национальной комиссии по информатике и свободам).notifications.cnil.frДаже если вы не уверены в серьезности инцидента, лучше всего сообщить о нем и задокументировать результаты анализа.
Наказания: два уровня штрафов.
GDPR предусматривает двухуровневый режим санкций:
Уровень 1 (ст. 83.4): Штрафы до 10 миллионов евро или 2% от годового мирового оборота за технические недостатки (отсутствие регистрации, несвоевременное уведомление, невыполнение оценки воздействия на защиту данных).
Уровень 2 (ст. 83.5): Штрафы до 20 миллионов евро или 4% от годового мирового оборота за нарушения основных прав, согласия или международных переводов.
Реальность санкций в отношении очень малых и малых предприятий.
Крупные штрафы попадают в заголовки новостей, но статистическая реальность затрагивает и малый бизнес. В 2025 году CNIL (Французское управление по защите данных) вынесло 83 санкции на общую сумму 486,8 млн евро, и более 60% из них были направлены против малых и средних предприятий. В 2026 году почти все из первых 23 санкций, вынесенных в рамках упрощенной процедуры, были направлены против очень малых предприятий, медицинских учреждений и юридических фирм.
Упрощенная процедура, созданная в 2022 году, позволяет CNIL (Французскому управлению по защите данных) быстро налагать штрафы за распространенные нарушения в размере до 20 000 евро без публичного слушания. Для компании из пяти человек 10 000 евро часто представляют собой прибыль за целый квартал.
Наиболее часто наказуемые нарушения в очень малых и малых предприятиях:
Последний пункт заслуживает особого внимания: молчание перед лицом CNIL представляет собой самостоятельное нарушение, предусмотренное статьей 31 GDPR, и зачастую именно это превращает банальный случай в суровое наказание.
Часто задаваемые вопросы: Ваши вопросы о GDPR
В моей компании меньше 10 сотрудников, действительно ли на меня распространяется действие GDPR?
Да, без исключения. GDPR применяется к любой организации, которая обрабатывает персональные данные, независимо от ее размера. Как только вы начинаете управлять базой данных клиентов, имеете сотрудников или используете контактную форму на своем веб-сайте, на вас распространяется действие GDPR. Упрощенная процедура CNIL специально разработана для малых предприятий, и решения 2026 года в основном касаются очень малых предприятий и самозанятых.
Нужно ли мне назначать сотрудника по защите данных?
Нет, за исключением случаев, предусмотренных GDPR. Назначение сотрудника по защите данных (DPO) является обязательным только для государственных органов, тех, кто обрабатывает конфиденциальные данные в больших масштабах, или тех, чья основная деятельность заключается в систематическом и всестороннем мониторинге физических лиц. Однако настоятельно рекомендуется назначить внутреннего контактного лица по вопросам GDPR, даже в неофициальном порядке.
Как долго мне следует хранить данные своих клиентов?
Универсального срока хранения не существует: он зависит от цели обработки. Для управления бизнесом CNIL (Французское управление по защите данных) рекомендует хранить данные активных клиентов в течение всего периода деловых отношений, а затем в течение трех лет для маркетинговых целей после их окончания. Счета-фактуры должны храниться 10 лет по бухгалтерским и налоговым причинам. Данные кандидатов, не прошедших отбор, не должны храниться более двух лет. Задокументируйте эти сроки хранения в своих документах.
Что мне делать, если я получил запрос на удаление от клиента?
Вы должны ответить в течение одного месяца. Если запрос обоснован (клиент отзывает свое согласие, данные больше не нужны), вы должны удалить его данные из ваших активных файлов. Примечание: если у вас есть юридическое обязательство хранить данные (например, счета-фактуры должны храниться 10 лет), вы можете отказать в удалении этой части данных, но вы должны четко уведомить об этом клиента. Всегда документируйте свой ответ.
Управление соответствием требованиям GDPR подразумевает централизацию и защиту данных ваших клиентов, потенциальных клиентов и команд. Djaboo, универсальное CRM-программное обеспечение, разработанное для французских малых и средних предприятий, помогает организовать ваши отношения с клиентами, выставление счетов и проекты в одном безопасном месте с контролируемым доступом и легкой отслеживаемостью данных. Чтобы узнать больше, посетите [djaboo.com](https://djaboo.com).
